एडब्ल्यूएस कमांड लाइन टूल्स के लिए क्रेडेंशियल्स का परीक्षण कैसे करें

Question

क्या कोई कमांड/सबकॉमैंड है जो aws उपयोगिता को पारित किया जा सकता है जो 1) सत्यापित कर सकता है कि ~/.aws/credentials फ़ाइल में प्रमाण-पत्र मान्य हैं, और 2) कुछ संकेत दें कि कौन सा उपयोगकर्ता प्रमाण पत्र से संबंधित हैं? मैं कुछ सामान्य खोज रहा हूं जो उपयोगकर्ता को आईएएम या किसी विशिष्ट सेवा की अनुमति रखने के बारे में कोई धारणा नहीं देता है।

इसके लिए उपयोग केस यह सुनिश्चित करने के लिए एक तैनाती-समय स्वच्छता जांच है कि प्रमाण-पत्र अच्छे हैं। आदर्श रूप से वापसी मूल्य की जांच करने और अमान्य प्रमाण-पत्र होने पर तैनाती को रद्द करने का कोई तरीका होगा।

Answer 1

एक सीधा तरीका है - aws iam get-user आप कौन हैं (वर्तमान आईएएम उपयोगकर्ता) के बारे में ब्योरा बताएगा - बशर्ते उपयोगकर्ता के पास iam विशेषाधिकार हों।

कुछ सीएलआई कॉल हैं जो --dry-run ध्वज aws ec2 run-instances जैसे ध्वज हैं जो आप बताते हैं कि आपके पास ऑपरेशन करने के लिए आवश्यक कॉन्फ़िगर/क्रेडिट है या नहीं।

--auth-dry-run भी है जो जांचता है कि आपके पास कमांड चलाने के बिना कमांड के लिए आवश्यक अनुमतियां हैं या नहीं। यदि आपके पास आवश्यक अनुमतियां हैं, तो आदेश DryRunOperation देता है; अन्यथा, यह अनधिकृत ऑपरेशन देता है। [AWS Documentation - Common Options]

आप मैनेजमेंट कंसोल से आईएएम एक्सेस कीज सूचीबद्ध करने में सक्षम होंगे, जो आप यह देखने के लिए चेक पार कर सकते हैं कि कौन सी कुंजी असाइन की गई है।

यह समझने का सबसे अच्छा तरीका है कि कौन से उपयोगकर्ता/भूमिका में विशेषाधिकार IAM Policy Simulator का उपयोग करते हैं।

Answer 2

उपयोग GetCallerIdentity:
aws sts get-caller-identity

अन्य एपीआई के विपरीत/CLI यह हमेशा काम करेंगे, अपने IAM अनुमतियों की परवाह किए बिना कहते हैं।

आप निम्न स्वरूप में उत्पादन प्राप्त होगा:

{ 
    "Account": "123456789012", 
    "UserId": "AR#####:#####", 
    "Arn": "arn:aws:sts::123456789012:assumed-role/role-name/role-session-name" 
} 

सटीक ARN भूमिका के प्रकार पर निर्भर करेगा, लेकिन अक्सर (मानव) उपयोगकर्ता का नाम भी शामिल है।

यह मानक AWS CLI error codes सफलता पर 0 देता है और यदि आपके पास कोई प्रमाण-पत्र नहीं है तो 255 का उपयोग करता है।